VPN'ingiz DNS'ni shifrlaydimi yoki faqat keyingi hopni?

VPN serverida shifrlangan DNS'ni yoqish ko'pincha oqishni to'sish deb ta'riflanadi va bu ta'rif qaysi ulanish o'zgarganini yashiradi. Mijozdan rezolvergacha bo'lgan hop va rezolverdan yuqori oqimga bo'lgan hop alohida egalari bo'lgan alohida ulanishlardir. Bittasini shifrlash ikkinchisini avvalgidek qoldiradi.

Konfiguratsiya fayliga tegishdan oldin har bir bosqichda so'rovni kim olishini yozib qo'ying.

Ikki tuzilma sozlamalar sahifasida bir xil ko'rinadi

Birinchi tuzilmada qurilma DNS over TLS'ni o'zi ishga tushiradi va tunnel faqat shu ulanishni siz tanlagan rezolverga yetkazadi. TLS sessiyasi rezolverda tugaydi, ya'ni rezolver so'rovni ko'radi, VPN chiqishi esa o'qib bo'lmaydigan shifrlangan matnni ko'radi. Ikkinchi tuzilmada qurilma oddiy DNS'ni tunnel orqali VPN xostidagi forwarderga yuboradi va u forwarder yuqori oqim rezolveriga o'zining shifrlangan ulanishini ochadi. Funksiyalar ro'yxatida ikkalasi ham "VPN bilan shifrlangan DNS" kabi ko'rinadi, lekin o'qiladigan so'rovni turli binolarga joylashtiradi.

Farq falsafiy emas, o'lchanadigan. TLS sessiyasini mijozda yoki serverda qidiring va aslida qaysi tuzilma borligini bilib olasiz.

O'zgartirishdan oldin rezolverlar zanjirini xaritalang

Yo'ldagi rezolverlarni sanang va har birining rolini ayting. Forwarding komponenti so'rovni boshqa rezolverga topshiradi, rekursiv rezolver esa javob topish ishini bajaradi va avtoritar serverlar bilan bevosita gaplasha oladi. Bu rollar aynan shu sababli alohida belgilangan va RFC 9076 rezolver ta'riflari bitta yuqori oqim manzili bor deb hisoblashdan oldin o'qishga arziydi. O'z rekursiv rezolverini ishga tushiradigan xostda shifrlash uchun yagona "yuqori oqim" yo'q, bu butun rejani bekor qiladi.

So'ng mijoz qaysi komponentdan foydalanishga sozlanganini so'rang. VPN profili bergan DNS manzili so'rovlar qayerga ketishini aytadi, qaysi jarayon javob berishini emas.

Nosozlikdagi xatti-harakatga ham e'tibor bering. Shifrlangan yuqori oqim yetib bo'lmaydigan bo'lsa, forwarder yopiq holda muvaffaqiyatsiz bo'ladimi, ochiq matnga qaytadimi yoki boshqa rezolverga o'tadimi? Bu qaror yozuvda bo'lishi kerak, chunki tunnel eng nosog'lom bo'lgan paytda maxfiylik kafolatini o'zgartiradi.

Qaysi hop shifrlanganini tekshiring

Mijozdan boshlang va uning 853 portiga TLS sessiyasi bor-yo'qligini tasdiqlang. 53 porti orqali to'g'ri hal qilinadigan so'rov shifrlash haqida hech narsani isbotlamaydi.

resolvectl status | grep -E "DNS Servers|DNS over TLS"
kdig +tls +tls-ca +tls-hostname=dns.example.net @198.51.100.53 example.com A

So'ng VPN xostiga o'ting va forwarder ochgan chiqish shifrlangan ulanishini qidiring. Soket jadvali yuqori oqim TLS sessiyasi bor-yo'qligini va uni qaysi jarayon egallashini aytadi:

ss -tunp '( dport = :853 )'
dig @127.0.0.1 example.com A +short

Agar mijoz TLS sessiyasini ko'rsatsa, server esa hech narsani ko'rsatmasa, siz birinchi tuzilmadasiz va server IP qatlamida uzatayotgan so'rovlarni o'qiy olmaydi. Agar server TLS sessiyasini ko'rsatsa, mijoz esa tunnel ichida oddiy 53 porti trafigini ko'rsatsa, siz ikkinchi tuzilmadasiz: keyingi hop himoyalangan, ammo forwarder qurilma so'ragan har bir nomni hali ham o'qiydi. Bu ikkinchi natija nosozlik emas, lekin uni uchdan-uchga shifrlash deb atash noto'g'ri.

Egasini va nosozlikdagi xatti-harakatni yozib qo'ying

Egalik nima va'da qilishga ruxsat berilganini hal qiladi. Qurilma egasi mijoz tomonidagi shifrlangan ulanishni boshqaradi, VPN administratori esa o'z forwarderi yaratadigan keyingi ulanishni boshqaradi. Ikkalasini ham boshqarmagan kishi faqat yo'lni tasvirlay oladi.

Biror narsani yoqishdan oldin ichki nomlashni tekshiring. Tashkilot nomlarini ommaviy rezolverga yuborish teng dizayn emas va faqat tarmoq ichida mavjud split-horizon zonasi yuqori oqimda umuman hal qilinmaydi. O'zgarishdan keyin bitta ichki va bitta ommaviy nomni sinab ko'ring va natijani konfiguratsiya o'zgarishi bilan birga saqlang. Agar shifrlangan yo'l ichki xostlar hal qilinishini buzsa, tuzatish kengroq tunnel emas, ko'lami cheklangan rezolver qoidasi.

Oxirida har bir hop uchun bitta gap yozing: so'rovni qaysi komponent oldi, u hop shifrlanganmidi va nomni kim o'qiy oladi. VPN xosti haqidagi gap hali ham so'rovlarni o'qiy olishini aytsa, hujjat ham shuni aytishi kerak, chunki buning aksini da'vo qiladigan diagrammaga buyruqlarni hech qachon ishga tushirmagan odam ishonadi.